Alerta basada en riesgo

Una regla de riesgo es una búsqueda de correlación estrecha con una acción de respuesta que escribe un evento de riesgo: puntaje, objeto de riesgo (un usuario, un sistema u otro) y mensaje. Una regla de incidente de riesgo lee el índice de riesgo, agrega por objeto en una ventana y, si se cumple su condición, crea el notable de riesgo.

La idea es que la señal fuerte no es un evento aislado sino la acumulación de varios sobre el mismo objeto en un periodo. Un puntaje individual importa menos que el total por objeto.

Abre la regla de incidente y los eventos de riesgo del 20 de octubre. La condición del equipo es doble: suma de puntaje_final de 100 o más en 24 horas y al menos dos reglas distintas aportando. Agrupa por objeto, suma y cuenta reglas distintas.

Un objeto alcanza la suma exigida, pero no dispara porque la condición adicional no se cumple: todo su riesgo viene de una sola regla que se repite. Eso no es varias señales distintas, es una regla ruidosa.

Los factores de riesgo ajustan los puntajes sin escribir búsquedas nuevas: por ejemplo, multiplican el puntaje cuando el objeto es un equipo que guarda información sensible. Es potente y peligroso: si se aplica sin cuidado, infla el riesgo y hace disparar objetos que sin él no habrían llegado al umbral. Mira cuántos puntos añadió el factor al equipo de la gerencia.

La regla de fallos de acceso repetidos aporta 20 puntos cada vez, y cinco ejecuciones llevan al equipo a la suma sin que haya diversidad de señales. Ya se sabe que no dispara por la condición adicional, pero sigue contaminando el panel del objeto y el total.